Tier表ラクスライトクラウド／ブラストメール事案の概要と評価
不正アクセスで全契約者の担当者情報・契約支払履歴等と、一部の配信先リスト等が持ち出されました。配信サービスを停止し、件数・侵入経路を調査しています。
- 発生日
- 未確認
- 公表日
- 対象範囲
- 全契約者の管理情報・一部の配信先情報／件数未公表
事案の概要
- 企業・サービス
- ラクスライトクラウド／ブラストメール
- 確認状況
- 情報持ち出し確認・配信サービス停止
- 発生日
- 未確認
- 公表日
経緯
ラクスは2026年10月21日の第2報で、子会社ラクスライトクラウドの「ブラストメール」に不正アクセスがあり、個人情報を含むデータの外部持ち出しを確認したと公表しました。同日0時30分からサービスを停止し、第2報時点で再開日時は未定としています。
秋田魁新報の10月21日の報道によると、同社のサービスを利用する湯沢市と大仙市の防災メールも停止しています。湯沢市は職員氏名と防災担当の電話番号・メールアドレスの漏えいを公表し、配信先情報の影響を確認しているとされています。
流出した情報と流出していない情報
販売管理システムから、全契約者の会社名、担当者名、電話番号、メールアドレス、請求先メールアドレス、契約・支払い履歴などの持ち出しを確認しています。一部の顧客では配信先リストなどメール配信に関する情報の漏えいも確認しており、個別の詳細は精査中です。
クレジットカード番号は保有していないとしています。対象人数・件数は第2報に記載されていません。
原因
第三者がAPI用サーバー2台へ侵入してコマンドを実行し、販売管理システムとサービスのデータベースに接続してデータを持ち出したとしています。侵入経路の詳細は調査中です。
対象情報
- 氏名流出確認
全契約者の担当者等の情報。配信先リストは一部顧客のみで詳細精査中。
- 電話番号流出確認
全契約者の担当者等の情報。配信先リストは一部顧客のみで詳細精査中。
- メールアドレス流出確認
全契約者の担当者等の情報。配信先リストは一部顧客のみで詳細精査中。
Sとした理由（暫定）
O-S：主たるメール配信サービスが10月21日0時30分から停止。情報被害は担当者連絡先と限定的契約関係でB1を基礎とし、件数不明でA2/S3は適用しない。APIサーバーでのコマンド実行は確認するが、複数顧客の主要業務全体の支配・停止は未確認。自治体の防災メール停止だけでO-HとせずS暫定。
Sの評価基準深い私的情報・本人確認書類画像・有効な認証情報の侵害、それと同等の管理機能・アカウント支配、大規模な連絡先流出、又は主要な提供機能の停止。